Fornitore vs deployer: chi fa cosa nell'AI Act

Il Regolamento (UE) 2024/1689 (AI Act) assegna obblighi diversi a seconda del ruolo che hai nella filiera. Non è una sfumatura teorica: se sei fornitore o deployer cambia cosa devi documentare e cosa devi solo controllare. E molti fabbricanti di macchine scoprono di essere entrambi, contemporaneamente, per lo stesso prodotto.

Le due definizioni che devi tenere separate

Il fornitore è chi sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o mette in servizio con il proprio nome o marchio. È lui il responsabile primario: sceglie i dati, progetta il rischio, firma la conformità.

Il deployer è chi usa il sistema di IA sotto la propria autorità, senza averlo sviluppato. Compra, integra, opera. Non decide come funziona l'algoritmo dentro, ma decide come e dove lo fa lavorare.

Sulla carta sembra chiaro. Nella pratica industriale, meno.

Il caso che genera confusione: il modello di terzi che integri in macchina

Prendi un fabbricante di macchine che acquista un modello di visione artificiale già addestrato da un fornitore esterno e lo integra in un sistema di controllo qualità sulla linea. Finché lo usa così com'è, secondo le istruzioni del produttore del modello, è deployer di quel modello.

Ma se lo modifica in modo sostanziale — riaddestramento su dati propri, cambio di finalità, alterazione delle prestazioni previste — il fabbricante diventa fornitore del sistema di IA finale. Non del modello originario: del sistema risultante, quello che finisce sulla macchina e va sul mercato.

Questo doppio ruolo è la trappola più comune. Il fabbricante pensa di essere solo un utilizzatore, mentre l'AI Act lo considera fornitore per la parte che ha modificato.

se non sai dire con precisione cosa hai cambiato rispetto al modello originario, non sai nemmeno dire di che ruolo rispondi. Documenta ogni modifica sostanziale prima ancora di chiederti se serve.

Cosa deve fare il fornitore

Il fornitore gestisce il rischio del sistema lungo tutto il ciclo di vita, non solo al rilascio. Prepara la documentazione tecnica che descrive architettura, dati di addestramento e limiti del sistema. Cura la qualità dei dati usati, perché dati sporchi producono output inaffidabili e responsabilità che ricadono su di lui. Progetta la sorveglianza umana come funzione del sistema, non come nota a margine del manuale.

Cosa deve fare il deployer

Il deployer usa il sistema secondo le istruzioni del fornitore: non lo forza, non lo piega a scopi diversi da quelli previsti. Garantisce la sorveglianza umana operativa, cioè persone reali che possono intervenire durante l'uso quotidiano, non in teoria. Monitora il funzionamento nel tempo e segnala anomalie, perché il deployer è chi vede per primo se qualcosa non torna.

Cosa significa per te

• Mappa ogni sistema di IA che usi o integri e chiediti: l'ho sviluppato io, o l'ho solo comprato e installato?
• Se integri un modello di terzi, verifica subito se lo modifichi in modo sostanziale: quella è la linea che cambia il tuo ruolo.
• Se scopri di essere fornitore per una parte del sistema, prepara la documentazione tecnica su quella parte, non copiala dal fornitore originario del modello.
• Se resti deployer, non serve la documentazione tecnica completa, ma serve un processo di sorveglianza umana operativa reale, con persone identificate e responsabilità chiare.
• Metti per iscritto, per ogni sistema, chi è fornitore e chi è deployer: in caso di controllo, questa mappatura è la prima cosa che ti chiederanno.

Clausify verifica che i manuali riflettano correttamente ruoli e obblighi previsti dall'AI Act, così il fascicolo tecnico non lascia zone grigie tra chi ha sviluppato e chi ha solo integrato.